为 Slackware 13.0、13.1、13.37、14.0、14.1 以及当前版本提供了用于修复安全问题的新 pidgin 程序包。

已在 Pidgin（即多协议即时消息客户端）中发现多种漏洞：

- CVE-2014-3694 已发现 SSL/TLS 插件无法验证中间 CA 证书中的基本约束扩展。

- CVE-2014-3695 Yves Younan 和 Richard Johnson 发现包含超大长度值的表情符号可导致 Pidgin 崩溃。

- CVE-2014-3696 Yves Younan 和 Richard Johnson 发现畸形 Groupwise 消息可导致 Pidgin 崩溃。

- CVE-2014-3698 Thijs Alkemade 和 Paul Aurich 发现畸形 XMPP 消息可导致内存泄露。

更新到 2.10.10 针对 CVE-2014-3694、CVE-2014-3695、CVE-2014-3696、CVE-2014-3698 的安全补丁

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

- 更新到 2.10.10 版：

+ 常规：

- 验证 SSL/TLS 证书时检查基本限制扩展。这修复了一个安全漏洞，此漏洞可使恶意中间人冒充 IM 服务器或任何其他 https 端点。这会同时影响 NSS 和 GnuTLS 插件（CVE-2014-3694、boo#902495）。

- 将 NSS 插件用于 SSL 时，允许并优先使用 TLS 1.2 和 1.1 (im#15909)。

+ libpurple3 兼容性：

- 会将加密的帐户密码保留到设置新密码为止。

- 修复加载的 Google Talk 和 Facebook XMPP 帐户。

+ Windows 的特定变更：用户通过拖放来安装表情符主题时不允许覆盖文件系统上的任意文件 (CVE-2014-3697)。

+ Finch：修复针对 Python 3 的版本 (im#15969)。

+ Gadu-Gadu：已将内部 libgadu 更新到版本 1.12.0。

+ Groupwise：修复解析指示应分配大量内存的服务器消息时可能出现的远程崩溃（CVE-2014-3696，boo#902410）。

+ IRC：修复使用含 OTR 的 /me 命令时可能发生的未加密数据泄漏 (im#15750)。

+ MXit：修复解析畸形表情符号响应时可能出现的远程崩溃（CVE-2014-3695、boo#902409）。

+ XMPP：

- 修复可能的信息泄漏，其中恶意 XMPP 服务器（甚至是恶意远程用户）可以创建精心构建的 XMPP 消息，从而导致 libpurple 发送包含任意内存的 XMPP 消息（CVE-2014-3698、boo#902408）。

- 修复 Facebook XMPP 名单 quirk（im#15041、im#15957）。

+ Yahoo：修复将 GnuTLS 库用于 TLS 连接时的登录问题（im#16172、boo#874606）。

- 删除 pidgin-gstreamer1.patch：造成崩溃，并且视频仍然无法工作 (boo#853038)。切换到 GStreamer 1.0 时删除 BuildRequires 条件。

- 衍合 pidgin-crash-missing-gst-registry.patch。

+ 根据 GST doc 添加 pidgin-crash-missing-gst-registry.patch，应在任何其他调用之前调用“gst_init”。

pidgin 的更新现在可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Pidgin 是即时消息程序，可以同时登录到多种即时消息网络上的多个帐户。下列程序包已升级到更高的上游版本：pidgin (2.10.11)。(BZ#1369526) 安全修复：* 在 Pidgin 的 Mxit 插件处理图释的方式中发现拒绝服务缺陷。恶意远程服务器或中间人攻击者可能会利用此缺陷，通过发送特制的图释，造成 Pidgin 崩溃。(CVE-2014-3695) * 在 Pidgin 解析 Groupwise 服务器消息的方式中发现拒绝服务缺陷。恶意远程服务器或中间人攻击者可利用此缺陷，通过发送特制的消息，造成 Pidgin 消耗过量内存，可能导致崩溃。(CVE-2014-3696) * 在 Pidgin 解析 XMPP 消息的方式中发现信息泄露缺陷。恶意远程服务器或中间人攻击者，可利用此缺陷，通过发送特制的 XMPP 消息，泄露属于 Pidgin 进程的内存部分。(CVE-2014-3698) * 在 Pidgin 处理 XML 内容的方式中发现越界写入缺陷。恶意远程服务器可利用此缺陷造成 Pidgin 崩溃，或在 pidgin 进程的环境中执行任意代码。(CVE-2017-2640) * 已发现 Pidgin 的 SSL/TLS 插件在证书验证功能中存在缺陷。攻击者会利用此缺陷创建 Pidgin 信任的假证书，其可用来针对 Pidgin 进行中间人攻击。(CVE-2014-3694) Red Hat 在此感谢 Pidgin 项目报告这些问题。上游感谢 CVE-2014-3695 和 CVE-2014-3696 的原始报告者 Yves Younan (Cisco Talos) 和 Richard Johnson (Cisco Talos)；CVE-2014-3698 的原始报告者 Thijs Alkemade 和 Paul Aurich；以及 CVE-2014-3694 的原始报告者 Moxie Marlinspike。其他更改：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 7.4 版本说明。

pidgin 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Pidgin 是即时消息程序，可以同时登录到多种即时消息网络上的多个帐户。下列程序包已升级到更高的上游版本：pidgin (2.10.11)。(BZ#1369526) 安全修复：* 在 Pidgin 的 Mxit 插件处理图释的方式中发现拒绝服务缺陷。恶意远程服务器或中间人攻击者可能会利用此缺陷，通过发送特制的图释，造成 Pidgin 崩溃。(CVE-2014-3695) * 在 Pidgin 解析 Groupwise 服务器消息的方式中发现拒绝服务缺陷。恶意远程服务器或中间人攻击者可利用此缺陷，通过发送特制的消息，造成 Pidgin 消耗过量内存，可能导致崩溃。(CVE-2014-3696) * 在 Pidgin 解析 XMPP 消息的方式中发现信息泄露缺陷。恶意远程服务器或中间人攻击者，可利用此缺陷，通过发送特制的 XMPP 消息，泄露属于 Pidgin 进程的内存部分。(CVE-2014-3698) * 在 Pidgin 处理 XML 内容的方式中发现越界写入缺陷。恶意远程服务器可利用此缺陷造成 Pidgin 崩溃，或在 pidgin 进程的环境中执行任意代码。(CVE-2017-2640) * 已发现 Pidgin 的 SSL/TLS 插件在证书验证功能中存在缺陷。攻击者会利用此缺陷创建 Pidgin 信任的假证书，其可用来针对 Pidgin 进行中间人攻击。(CVE-2014-3694) Red Hat 在此感谢 Pidgin 项目报告这些问题。上游感谢 CVE-2014-3695 和 CVE-2014-3696 的原始报告者 Yves Younan (Cisco Talos) 和 Richard Johnson (Cisco Talos)；CVE-2014-3698 的原始报告者 Thijs Alkemade 和 Paul Aurich；以及 CVE-2014-3694 的原始报告者 Moxie Marlinspike。其他更改：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 7.4 发行说明。

The remote host is running a vulnerable version of Pidgin chat client.  This version of Pidgin is vulnerable to multiple flaws which would allow an attacker to read/write arbitrary data, subvert security tokens, cause a denial of service, and more.

ID	名前	製品	ファミリー	公開日	更新日	深刻度
78657	Slackware 13.0 / 13.1 / 13.37 / 14.0 / 14.1 / 当前版本：pidgin (SSA:2014-296-02)	Nessus	Slackware Local Security Checks	2014/10/24	2021/1/14	medium
78659	Debian DSA-3055-1：pidgin - 安全更新	Nessus	Debian Local Security Checks	2014/10/24	2021/1/11	medium
79091	Fedora 20：pidgin-2.10.10-1.fc20 (2014-14069)	Nessus	Fedora Local Security Checks	2014/11/11	2021/1/11	medium
79223	openSUSE 安全更新：pidgin (openSUSE-SU-2014:1397-1)	Nessus	SuSE Local Security Checks	2014/11/13	2021/1/19	medium
102102	RHEL 7 : pidgin (RHSA-2017:1854)	Nessus	Red Hat Local Security Checks	2017/8/2	2019/10/24	critical
102736	CentOS 7 : pidgin (CESA-2017:1854)	Nessus	CentOS Local Security Checks	2017/8/25	2021/1/4	critical
8575	Pidgin < 2.10.10	Nessus Network Monitor	Internet Messengers	2014/10/23	2019/3/6	medium

検出

プラグインの検索

medium

medium

medium

medium

critical

critical

medium